.avif)
Noticias de Seguridad de la Cadena de Suministro de Software
Manténgase al día con los últimos incidentes de seguridad de la cadena de suministro de software, incluyendo paquetes maliciosos, ataques a dependencias y brechas de seguridad reales. Analizamos lo que sucedió, por qué es importante y qué deben solucionar los desarrolladores para mantenerse a la vanguardia.
La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios
Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.
Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)
CVE-2026-98432 es una vulnerabilidad crítica del protocolo TCP del núcleo de Linux, con una puntuación de 9,8, que puede permitir la ejecución remota de código. Descubre quiénes se ven afectados, cómo aplicar el parche y qué hacer ahora.
Node2Shell evoluciona a HTTP2Shell. El alcance de la vulnerabilidad de Brotli (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP.
La vulnerabilidad de Brotli subyacente a Node2Shell (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP y tienen instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.
El @injectivelabs/sdk-ts comprometido exfiltra claves de monedero a través de telemetría falsa
Una versión maliciosa de @injectivelabs/sdk-ts ocultó un ladrón de claves de monedero dentro de código etiquetado como telemetría de uso, y luego lo propagó a otros 17 paquetes npm. Así es como funcionó y cómo comprobar sus proyectos.
Predicción continua de MongoDB ObjectId en Rocket.Chat
El pentester de IA de Aikido encontró esta vulnerabilidad de acceso a archivos en Rocket.Chat. Un examen más detallado del ObjectId de MongoDB mostró la debilidad aleatoria que lo hace explotable.
Bypass de autenticación en la configuración predeterminada de phpBB
Nuestros agentes de pentesting de IA encontraron un bypass de autenticación crítico en phpBB (CVE-2026-48611): una única solicitud no autenticada te permite iniciar sesión en cualquier cuenta. Consulta el exploit y la solución.
Acción de GitHub comprometida codfish/semantic-release-action roba secretos de CI/CD
codfish/semantic-release-action fue comprometida el 24 de junio de 2026. Los atacantes redirigieron las etiquetas v2-v5 a una carga útil de Miasma para el robo de credenciales dirigida a los secretos de CI/CD. Esto es lo que ocurrió y cómo comprobar si estás afectado.
Más de 140 paquetes npm populares de Mastra afectados por un ataque a la cadena de suministro
141 paquetes npm de Mastra fueron comprometidos en un ataque a la cadena de suministro que inyectó una dependencia maliciosa para descargar y ejecutar silenciosamente una carga útil en el momento de la instalación.
Múltiples plugins de IDE de JetBrains detectados robando claves de IA
Una campaña coordinada de al menos 15 plugins de IDE de JetBrains, publicados bajo siete cuentas de proveedor, exfiltra la clave API del proveedor de IA que pegas en su configuración.
El crate de Rust comprometido onering realiza exfiltración de código
El crate de Rust onering comprometido v1.4.1 en crates.io incluía un build.rs malicioso que exfiltra el diff de su último commit a un endpoint de Sentry alojado cada vez que compila.
Vulnerabilidad crítica de 10 años en phpBB que afecta a decenas de millones de usuarios en miles de foros
Aikido Security descubrió un bypass de autenticación no autenticado crítico en phpBB que afecta a decenas de millones de usuarios. Una única solicitud HTTP es suficiente para tomar el control de cualquier cuenta, una vulnerabilidad que ha estado presente en la base de código desde 2014.
Espera, ¿qué puede hacer binding.gyp? Explorando el sistema de compilación más extraño de npm
Análisis en profundidad de binding.gyp, el archivo de compilación de npm a menudo pasado por alto que puede ejecutar código malicioso en el momento de la instalación a través de expansiones de shell, escapes de sandbox y secuestro de compiladores.
Paquetes npm de Red Hat comprometidos para propagar un gusano de robo de credenciales
Múltiples paquetes npm oficiales de @redhat-cloud-services fueron comprometidos con un gusano de robo de credenciales derivado del malware de código abierto Mini Shai-Hulud, dirigido a credenciales de la nube y herramientas de desarrollo en pipelines de CI/CD.
Una interfaz de usuario remota de Codex de aspecto legítimo roba secretamente tus tokens de IA
Una interfaz de usuario remota de Codex pulida, el paquete npm codexui-android, tiene un desarrollo activo y miles de usuarios semanales. Ha estado exfiltrando silenciosamente tokens de autenticación de OpenAI durante el último mes.
Ataque a la cadena de suministro dirigido a paquetes Laravel-Lang con un ladrón de credenciales
Los atacantes inyectaron un ladrón de credenciales en más de 200 versiones de paquetes populares de Laravel-Lang, distribuyendo un ladrón de credenciales dirigido a claves de cloud, claves SSH, navegadores, monederos de criptomonedas y más.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
